Аналитики компании CrowdStrike представили данные, свидетельствующие о значительной трансформации одной из самых активных и опасных хакерских группировок, связанных с КНДР. Группа, известная под названием LABYRINTH CHOLLIMA, эволюционировала в три отдельных оперативных подразделения с чётко разделёнными целями, инструментарием и тактикой. Согласно новому отчёту, подгруппы GOLDEN CHOLLIMA и PRESSURE CHOLLIMA теперь, вероятно, действуют независимо от основного ядра LABYRINTH CHOLLIMA.
Описание
Этот вывод стал результатом масштабного пересмотра исторических данных и оспаривания прежних моделей атрибуции. Эксперты отмечают, что несмотря на оперативную автономию, все три подразделения продолжают использовать общие инструменты и инфраструктуру. Этот факт указывает на сохранение централизованной координации и распределения ресурсов в рамках северокорейского киберпространства.
От единого ядра к специализированным подразделениям
Истоки активности LABYRINTH CHOLLIMA лежат в фреймворке KorDLL, который использовался с 2009 по 2015 год. Этот репозиторий исходного кода стал основой для множества знаковых семейств вредоносного ПО. Со временем он эволюционировал в фреймворк Hawup, который, в свою очередь, породил три оперативных подгруппы в период с 2018 по 2020 год. Каждая из них пошла по своему пути развития, что выразилось в уникальных целях и методах атак.
GOLDEN CHOLLIMA: Постоянный источник дохода
Подразделение GOLDEN CHOLLIMA сосредоточено на целевых атаках против организаций в сфере криптовалют и финансовых технологий в экономически развитых регионах. К ним относятся США, Канада, Южная Корея, Индия и страны Западной Европы. Эта группа отличается более стабильным операционным темпом и совершает кражи меньшего масштаба. Аналитики полагают, что её задача - обеспечение базового потока доходов для режима КНДР.
Арсенал GOLDEN CHOLLIMA берёт начало с вредоносной программы Jeus, которая в 2018 году маскировалась под легитимное криптовалютное приложение. С тех пор группа значительно развила свои методы, активно используя облачные технологии. Например, в конце 2024 года хакеры скомпрометировали европейскую финтех-компанию через поддельные пакеты Python, распространяемые под видом предложений о работе. Получив доступ, они изучили конфигурации управления идентификацией и в конечном итоге перенаправили криптовалюту жертвы на контролируемые кошельки.
PRESSURE CHOLLIMA: Охотники за крупной добычей
В отличие от своей "сестры", подразделение PRESSURE CHOLLIMA ориентировано на самые громкие и высокодоходные кражи криптовалюты. Именно с его деятельностью связывают два крупнейших хищения цифровых активов в истории. Группа не привязана к конкретному региону и выбирает цели исключительно исходя из объёма их цифровых активов.
PRESSURE CHOLLIMA использует сложные, редко встречающиеся вредоносные программы и считается одним из самых технически продвинутых противников, связанных с КНДР. Её операции отделились от основного ядра LABYRINTH CHOLLIMA примерно в феврале 2019 года. В последних кампаниях группа применяла злонамеренные проекты на Node.js и Python для доставки специализированного вредоносного ПО.
Ядро LABYRINTH CHOLLIMA: Фокус на шпионаже
После выделения финансово ориентированных подразделений, основная группа LABYRINTH CHOLLIMA сузила свою деятельность до классического шпионажа. Её основные цели - компании в оборонной, промышленной и логистической сферах, особенно в Европе, США, Японии и Италии. В 2024 и 2025 годах группа демонстрировала высокую активность против европейских аэрокосмических корпораций и производителей оборонной продукции, используя уязвимости нулевого дня и фишинговые рассылки на тему трудоустройства.
Значительным этапом в развитии возможностей группы стало появление в 2022 году модуля FudModule. Этот инструмент использует прямые манипуляции с ядром операционной системы для достижения скрытности и эксплуатировал уязвимости нулевого дня в драйверах, браузере Chrome и Windows. Примечательно, что доступ к FudModule также имело подразделение GOLDEN CHOLLIMA, что подчёркивает обмен инструментами внутри экосистемы.
Общие корни и стратегическая эволюция
Аналитики CrowdStrike с высокой степенью уверенности оценивают, что три группы действуют как отдельные организационные единицы в рамках северокорейского кибераппарата. Однако их объединяет общее происхождение из фреймворков KorDLL и Hawup, что проявляется в поразительно схожем торговом ремесле. Все они используют компрометацию цепочки поставок, фишинговые кампании под видом HR-отделов, троянизированное легитимное программное обеспечение и злонамеренные пакеты Node.js и Python.
Сегментация LABYRINTH CHOLLIMA на специализированные подразделения представляет собой стратегическую эволюцию. Она позволяет режиму КНДР одновременно и более эффективно преследовать разные цели: от сбора разведданных до финансирования своих амбициозных военных программ. Финансовая мотивация для деятельности GOLDEN CHOLLIMA и PRESSURE CHOLLIMA, вероятно, будет только усиливаться на фоне международных санкций.
Эксперты рекомендуют организациям в криптовалютной, финтех, оборонной и логистической отраслях проявлять повышенную бдительность. Ключевыми векторами атак остаются фишинговые кампании на тему трудоустройства и троянизированное ПО, распространяемое через мессенджеры. Для защиты необходимо внедрять строгие политики проверки входящих сообщений, контролировать цепочки поставок программного обеспечения, обеспечивать безопасность облачных сред и идентификации, а также своевременно применять обновления безопасности.
Индикаторы компрометации
